Suggerimenti sulla sicurezza nell'autenticazione

[Yasha]

Ciao a tutti,
sto realizzando un piccolo elaborato per un esame di tecnologie lato server, sono un po' bloccato sulla parte di sicurezza nel login, o meglio vorrei parlare della sicurezza per introdurre vari argomenti.

Vorrei chiedervi dei pareri su come effettuare procedure di autenticazione in modo sicuro.

Ad esempio conviene salvare su cookie e controllare quello, conviene tenere connessioni aperte con il database e controllare ogni pagina i dati o conviene passare solo variabili di sessione.
Una combinazione di questi? Quale e perchè non in altro modo, che problemi di sicurezza ci sarebbero?

Perchè bene o male ho la teoria in mente(della serie si può fare così), ma mi manca la pratica per essere certo che sia un metodo efficace e sicuro e di non scrivere castronerie :P

Non occorre codice, mi basterebbe solo qualche spunto giusto per essere orientato da chi ha più esperienza in merito


Grazie

[codencode]

Ciao, le sessioni sono molto più sicure dei cookie, perchè risiedono sul server mentre i cookie vengono salvati sul client, quindi potrebbero essere accessibili molto più semplicemente rispetto alle sessioni.
In genere una volta eseguito il login (quindi controllo dei dati memorizzati nel database) si memorizza in una sessione che l'autenticazione è stata effettuata e in ogni pagina si controlla la sessione.
Questo potrebbe essere un modo abbastanza sicuro, (ma non inattaccabile) di eseguire un'autenticazione.

[k.b]

Fintanto che nei cookie non metti informazioni in chiaro, non c'e' sostanzialmente differenza di sicurezza tra cookies e sessioni, visto che le sessioni si propagano tramite cookie.

Le principali differenze sono che usando i cookie devi fare piu' controlli ma puoi avere un'autenticazione permanente nel tempo; usando le sessioni hai una gestione piu' comoda (i dati di sessione sono affidabili quindi non devi ogni volta confrontarli col db) ma le sessioni scadono.

[Yasha]

Innanzitutto grazie.

Mi è venuto solo un dubbio, se cripto i dati nei cookie, è possibile che qualcuno li copi dal pc su un altro e si ritrovi cosi loggato su un altro pc?